Coloriuris Prestador de Servicios de Confianza

Coloriuris Prestador de Servicios de Confianza Políticas y declaración de prácticas Autor Coloriuris S.L. Versión 2.0 Estado del documento Aprobado Fecha de emisión 14-07-2015 OID (Object Identifier) 1.3.6.1.4.1.37799.0.3.1.2.0 Ubicación del documento https://cipsc.coloriuris.net/politicas/ Coloriuris, S.L. julio 2015 1/115

CONTENIDO 1 Las políticas y declaración de prácticas de Coloriuris Prestador de Servicios de Confianza. 7 1.1.- Finalidad... 7 1.2.- Estructura... 8 1.3.- Alcance... 9 1.4.- Ámbito de aplicación... 9 1.5.- Identificación... 10 1.6.- Administración y publicidad... 10 1.6.1.- Validez...10 1.6.2.- Modificaciones...10 1.6.3.- Publicidad...11 1.6.4.- Datos de contacto...11 2 Políticas de los servicios de CIPSC... 12 2.1.- Estructura de CIPSC... 12 2.1.1.- Responsable de Administración de Políticas de Coloriuris...12 2.1.2.- Autoridades prestadoras de los servicios de confianza de CIPSC...12 2.1.2.1.- Aspectos comunes... 12 2.1.2.2.- Autoridad de certificación (AC)... 13 2.1.2.3.- Autoridad de sellado de tiempo (TSACI)...13 2.1.2.4.- Autoridad para los servicios relativos a los documentos electrónicos (ASD)...14 2.1.3.- Autoridades de registro...14 2.2.- Firmantes y partes usuarias... 15 2.2.1.- Firmantes y creadores de sellos...15 2.2.2.- Partes usuarias...15 2.2.3.- Aceptación de las Políticas y declaración de prácticas...15 2.2.4.- Verificación de las evidencias...16 2.3.- Obligaciones... 16 2.3.1.- Coloriuris...16 2.3.2.- Obligaciones de los firmantes y creadores de sellos...17 2.3.3.- Obligaciones de las partes usuarias...17 2.4.- Responsabilidad de CIPSC... 17 2.5.- Datos personales y confidencialidad... 18 2.5.1.- Protección de datos de carácter personal...18 2.5.2.- Información confidencial...18 2.5.3.- Deber de secreto...19 2.6.- Auditorías... 19 2.7.- Tarifas... 19 2.8.- Reclamaciones y jurisdicción... 20 2.8.1.- Comunicación de las reclamaciones...20 2.8.2.- Jurisdicción...20 3 Declaración de prácticas... 21 3.1.- Introducción... 21 3.2.- El ciclo de vida de los certificados... 21 Coloriuris, S.L. julio 2015 2/115

3.2.1.- Solicitud de certificados...22 3.2.2.- Tramitación de la solicitud de certificados....22 3.2.3.- Emisión de certificados...22 3.2.4.- Aceptación de certificados...23 3.2.5.- Uso del par de claves y del certificado....23 3.2.6. Renovación de certificados....23 3.2.7. Renovación de claves...23 3.2.8. Modificación de certificados....23 3.2.9. Revocación y suspensión de certificados....23 3.2.9.1. Circunstancias para la revocación... 23 3.2.9.2. Entidad que puede solicitar la revocación...24 3.2.9.3. Procedimiento de solicitud de revocación...24 3.2.9.4. Periodo de gracia de la solicitud de revocación...25 3.2.9.5. Circunstancias para la suspensión... 25 3.2.9.6. Entidad que puede solicitar la suspensión...25 3.2.9.7. Procedimiento para la solicitud de suspensión...25 3.2.9.8. Límites del período de suspensión...25 3.2.9.9. Frecuencia de emisión de CRLs... 25 3.2.9.10. Requisitos de comprobación de estado de certificados...25 3.2.9.11. Otras formas de divulgación de información de revocación disponibles...25 3.2.9.12. Requisitos especiales de renovación de claves comprometidas...25 3.2.10. Servicios de comprobación de estado de certificados....26 3.2.10.1 Características operativas... 26 3.2.10.2 Disponibilidad del servicio... 26 3.2.11. Finalización de la suscripción....26 3.2.12. Depósito y recuperación de claves....26 3.3.- Controles de seguridad física, de procedimiento y de personal...26 3.3.1.- Controles de seguridad física...26 3.3.1.1.- Localización y construcción de las instalaciones...26 3.3.1.2.- Acceso físico... 27 3.3.1.3.- Electricidad y aire acondicionado... 27 3.3.1.4.- Exposición al agua... 28 3.3.1.5.- Prevención y protección de incendios...28 3.3.1.6.- Almacenamiento de soportes... 28 3.3.1.7.- Tratamiento de residuos... 28 3.3.1.8.- Copia de respaldo fuera de las instalaciones...28 3.3.2.- Controles de procedimientos...28 3.3.2.1.- Funciones fiables... 28 3.3.2.2.- Número de personas por tarea... 29 3.3.2.3.- Identificación y autenticación para cada rol...30 3.3.2.4.- Separación de tareas en los diferentes roles...30 3.3.3.- Controles de personal...30 3.3.3.1.- Requisitos de historial, calificaciones, experiencia y autenticación...30 3.3.3.2.- Procedimientos de investigación de historial...30 3.3.3.3.- Requisitos de formación... 30 3.3.3.4.- Requisitos y frecuencia de actualización formativa...31 3.3.3.5.- Secuencia y frecuencia de rotación laboral...31 3.3.3.6.- Sanciones para acciones no autorizadas...31 3.3.3.7.- Requisitos de contratación de personal...31 3.3.3.8.- Suministro de documentación al personal...32 3.3.4.- Procedimientos de log y auditoría...32 3.3.4.1.- Tipo de eventos registrados...32 3.3.4.2.- Frecuencia de procesamiento de logs...33 3.3.4.3.- Periodo de retención del log...33 3.3.4.4.- Protección del log... 33 3.3.4.5.- Procedimiento de backup del log... 33 3.3.4.6.- Recolección de logs... 33 3.3.4.7.- Notificación de la acción causante de los logs...33 3.3.4.8.- Análisis de vulnerabilidades...34 Coloriuris, S.L. julio 2015 3/115

3.3.5.- Archivado de registros...34 3.3.5.1.- Tipo de registros archivados... 34 3.3.5.2.- Periodo de retención del archivo... 34 3.3.5.3.- Protección del archivo... 34 3.3.5.4.- Procedimientos de backup del archivo...34 3.3.5.5.- Requisitos para el sellado de tiempo de los registros...35 3.3.5.6.- Sistema de archivo... 35 3.3.5.7.- Procedimientos para obtener y verificar la información del archivo...35 3.3.6.- Cambio de claves...35 3.3.7.- Plan de contingencias...35 3.3.7.1.- Procedimientos de gestión de incidencias...35 3.3.7.2.- Plan de actuación ante datos y software corruptos...37 3.3.7.3.- Procedimiento ante compromiso de la clave privada...37 3.3.7.4.- Continuidad de negocio después de un desastre...38 3.3.8.- Terminación de la AC o AR...38 3.3.8.1.- Entidad de Certificación... 38 3.3.8.2.- Entidad de Registro... 39 3.4.- Controles de seguridad técnica... 39 3.4.1.- Generación e instalación del par de claves...39 3.4.1.1.- Generación del par de claves...39 3.4.1.2.- Distribución de la clave privada al firmante o creador de sello...40 3.4.1.3.- Distribución de la clave pública al emisor del certificado...40 3.4.1.4.- Distribución de las claves públicas de las autoridades prestadoras de servicios...41 3.4.1.5.- Tamaños de claves... 41 3.4.1.6.- Algoritmos de firma de certificados...41 3.4.1.7.- Usos admitidos de las claves (KeyUsage field X.509v3)...42 3.4.2.- Protección de la clave privada...43 3.4.2.1.- Estándares de módulos criptográficos...43 3.4.2.2.- Control por más de una persona (n de m) sobre la clave privada...43 3.4.2.3.- Custodia de la clave privada...43 3.4.2.4.- Copia de respaldo de la clave privada...44 3.4.2.5.- Archivado de la clave privada... 44 3.4.2.6.- Trasferencia de la clave privada a o desde el módulo criptográfico...44 3.4.2.7.- Almacenamiento de la clave privada en el módulo criptográfico...44 3.4.2.8.- Método de activación de la clave privada...45 3.4.2.9.- Método de desactivación de la clave privada...45 3.4.2.10.- Método de destrucción de la clave privada...45 3.4.2.11.- Calificación del módulo criptográfico... 46 3.4.3.- Otros aspectos de gestión del par de claves...46 3.4.3.1.- Archivo de la clave pública... 46 3.4.3.2.- Periodos de utilización de las claves pública y privada...46 3.4.4.- Datos de activación...46 3.4.4.1.- Generación e instalación de datos de activación...46 3.4.4.2.- Protección de datos de activación...47 3.4.4.3.- Otros aspectos de los datos de activación...47 3.4.5.- Controles de seguridad informática...47 3.4.5.1.- Requisitos técnicos específicos de seguridad informática...47 3.4.5.2.- Evaluación del nivel de seguridad informática...48 3.4.6.- Controles técnicos del ciclo de vida...49 3.4.6.1.- Controles de desarrollo de sistemas...49 3.4.6.2.- Controles de gestión de la seguridad...49 3.4.7.- Controles de seguridad de red...49 3.4.8.- Fuente de tiempo...50 4 Servicios de firma electrónica y sello electrónico... 51 4.1.- Declaración básica del servicio de confianza de CIPSC... 51 4.2.- Política para la prestación de los servicios de certificación...53 4.2.1.- Aspectos generales...53 Coloriuris, S.L. julio 2015 4/115

4.2.1.1.- Finalidad y alcance... 53 4.2.1.2.- Clases de certificados... 54 4.2.1.3.- Comunidad... 54 4.2.1.4.- Obligaciones... 55 4.2.1.5.- Publicación y conservación de los certificados...56 4.2.1.6.- Registro de información y conservación de firmas y sellos electrónicos...57 4.2.2.- Certificados de firma electrónica...57 4.2.2.1.- Ámbito de aplicación y usos... 57 4.2.2.2.- Contenido... 58 4.2.2.3.- Periodo de validez... 58 4.2.2.4.- Longitud de la clave... 58 4.2.2.5.- Perfil del certificado de firma electronica...58 4.2.2.6.- Perfil de CRL... 60 4.2.3.- Certificado de sello electrónico...61 4.2.3.1.- Ámbito de aplicación y usos... 61 4.2.3.2.- Contenido... 61 4.2.3.3.- Periodo de validez... 62 4.2.3.4.- Longitud de la clave... 62 4.2.3.5.- Perfil del certificado... 62 4.2.3.6.- Perfil de CRL... 64 4.3.- Declaración de prácticas... 64 4.3.1.- Generación y emisión...64 4.3.2.- Renovación...67 4.3.3.- Revocación...68 4.3.4.- Certificado raíz y sellos de la AC...69 4.3.4.1.- Certificado raíz... 69 4.3.4.2.- Certificado para la emisión de firmas electrónicas...71 4.3.4.4.- Certificado para la emisión de sellos electrónicos...72 5 Servicio de sellado de tiempo (Autoridad de Sellado de Tiempo de Coloriuris - TSACI)...74 5.1.- Declaración básica del servicio de sellado de tiempo de CIPSC...74 5.2.- Política para la prestación del servicio de sellado de tiempo...76 5.2.1.- Introducción...76 5.2.2.- Versiones...77 5.2.3.- Precisión...77 5.2.4.- Comunidad de usuarios...77 5.2.5.- Usos de los sellos de tiempo...77 5.2.6.- Obligaciones...78 5.2.7.- Registro de información referente a la operación de los servicios de sellado de tiempo...78 5.3.- Declaración de prácticas... 79 5.3.1.- Acceso al servicio...79 5.3.2.- Disponibilidad del servicio...79 5.3.3.- Ciclo de vida de las claves...79 5.3.4.- Sello de tiempo...80 5.3.5.- Sincronización del reloj con UTC...80 5.3.6.- Certificado raíz y sellos de TSACI...81 5.3.6.1.- Certificado raíz... 81 5.3.6.2.- Certificados para la emisión de sellos de tiempo...83 6 Política para la prestación del servicio de entrega electrónica certificada (EEC)...85 6.1.- Declaración básica del servicio de entrega electrónica certificada...85 6.2.- Aspectos generales... 87 6.2.1.- Introducción...87 6.2.2.- Comunidad de usuarios...87 6.2.3.- Usos del servicio de entrega electrónica certificada...87 Coloriuris, S.L. julio 2015 5/115

6.2.4.- Obligaciones...88 6.2.5.- Registro de información referente al servicio de entrega electrónica certificada...89 6.3.- Realización del servicio de entrega electrónica certificada...89 6.3.1.- Acceso al servicio...89 6.3.2.- Disponibilidad del servicio...89 6.3.3.- Entrega electrónica certificada...90 6.4.- El certificado de firma de EEC... 91 6.4.1.- Formato...91 7 Autoridad para los servicios relativos a los documentos electrónicos (ASD)...92 7.1.- Declaración básica de los servicios relativos a los documentos electrónicos...92 7.2.- Política para la prestación de los servicios relativos a los documentos electrónicos...94 7.2.1.- Introducción...94 7.2.2.- Comunidad de usuarios...95 7.2.3.- Usos de los servicios relativos a los documentos electrónicos...95 7.2.4.- Obligaciones...96 7.2.5.- Registro de información referente a la operación de los servicios de autenticación de documentos...97 7.3.- Declaración de prácticas... 98 7.3.1.- Acceso a los servicios...98 7.3.2.- Disponibilidad de los servicios...98 7.3.3.- Documentos electrónicos auténticos...98 7.3.4.- Registro de documentos electrónicos...99 7.3.5.- Archivo de documentos electrónicos...100 7.3.6.- Emisión de copias de los documentos electrónicos archivados...100 7.3.7.- Emisión de imágenes de los documentos electrónicos con código de verificación y acceso al punto de verificación...101 7.3.8.- Certificado raíz y sellos de la ASD...101 7.3.8.1.- Certificado raíz... 101 7.3.8.2.- Certificados para la prestación de servicios relativos a los documentos electrónicos...102 Anexo I... 107 Acrónimos utilizados... 107 Definiciones... 108 Normativa... 110 Estándares... 111 Anexo II Certificados de CIPSC... 113 [AC] Certificado raíz de la Autoridad de Certificación... 113 [AC] Certificado Subautoridad de Emisión de certificados para persona física...113 [AC] Certificado Subautoridad de Emisión de certificados para persona jurídica...114 [ASD] Certificado raíz de la Autoridad de Certificación para servicios relativos a documentos electrónicos.... 114 [TSA] Certificado raíz de la Autoridad de Sellado de Tiempo....115 [TSA] Certificado de emisión de sellos de tiempo para servicios de Coloriuris...115 [TSA] Certificado de emisión de sellos de tiempo para las partes usuarias...115 Coloriuris, S.L. julio 2015 6/115

1 Las políticas y declaración de prácticas de Coloriuris Prestador de Servicios de Confianza 1.1.- Finalidad Coloriuris S. L. es una empresa especializada en prestar servicios para dotar de seguridad a la realización de actos jurídicos en Internet y a la utilización de documentos electrónicos. Con esta finalidad la empresa se constituye como prestador de servicios de confianza, bajo la denominación de Coloriuris Prestador de Servicios de Confianza (en adelante, CIPSC) y de acuerdo con lo dispuesto en la Ley 59/2003, de 19 de diciembre, de firma electrónica, en la Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma electrónica (vigente hasta el 30 de junio de 2016) y en el Reglamento UE 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE. La actividad de CIPSC se rige por lo establecido en el presente documento que cumple, en cuanto se refiere a la finalidad y contenidos, con lo establecido por las siguientes normas: ETSI TS 102 042, Electronic Signatures and Infrastructures (ESI); Policy requirements for certification authorities issuing public key certificates. ETSI TS 101 456, Electronic Signatures and Infrastructures (ESI); Policy requirements for certification Authorities issuing qualified certificates. ETSI TS 102 023, Electronic Signatures and Infrastructures (ESI); Policy Requirements for Time-stamping Authorities. ETSI TS 102 573, Electronic Signatures and Infrastructures (ESI); Policy requirements for trust service providers signing and/or storing data objects. En los servicios relativos a los documentos electrónicos CIPSC toma como referencia la normativa de interoperabilidad y, en particular, la Norma Técnica de Interoperabilidad (NTI) de Documento electrónico (Resolución de la Secretaría de Estado para la Función Pública, de 19 de julio de 2011), que define la estructura y otros aspectos básicos de los documentos electrónicos; con la NTI de Reutilización de recursos de información (Resolución de 19 de febrero de 2013), que especifica los metadatos de catálogos de recursos y está basada en el vocabulario RDF DCAT (DCAT Application Profile for data portals in Europe, European Commission, 2013); y la NTI de Política de gestión de documentos electrónicos (Resolución de 28 de junio de 2012), en la que se dan las Coloriuris, S.L. julio 2015 7/115

directrices sobre el contenido de la política de gestión de documentos electrónicos y sobre los procedimientos para su elaboración y puesta en acción. Lo aquí dispuesto se aplica a todos los intervinientes en los servicios de CIPSC, incluyendo a los firmantes, creadores de sellos electrónicos y partes usuarias. Todos ellos deben conocer el contenido del presente documento para que puedan establecer su confianza en los servicios proporcionados por CIPSC y adecuar su actuación a lo dispuesto en el mismo. Este documento podrá ser utilizado también por terceras entidades y organismos independientes para comprobar y certificar que CIPSC actúa conforme a las políticas y prácticas recogidas en el mismo. 1.2.- Estructura CIPSC presta los siguientes servicios de confianza: Creación, verificación y validación de firmas electrónicas Creación, verificación y validación de sellos electrónicos Creación, verificación y validación de sellos de tiempo electrónicos Servicio de entrega electrónica certificada Emisión de certificados relativos a la firma electrónica, los sellos electrónicos, los sellos de tiempo electrónicos y los servicios de entrega electrónica certificada Servicios relativos a los documentos electrónicos, que incluyen o o Autenticación de documentos Registro y archivo de documentos electrónicos El presente documento regula en primer lugar los aspectos comunes a todos estos servicios, en los siguientes capítulos: Régimen jurídico Establece los derechos y obligaciones de las distintas partes intervinientes en la prestación de los servicios de confianza de CIPSC, así como el marco jurídico en el que estos se desarrollan y los mecanismos previstos para la resolución de conflictos. Política para la prestación de los servicios de confianza Tiene como objetivo definir los requisitos a cumplir por CIPSC para la prestación de los servicios de confianza, de acuerdo con los estándares que resulten de aplicación. Se definen los Coloriuris, S.L. julio 2015 8/115

aspectos que son comunes al conjunto de los servicios. Declaración de prácticas Establece cómo CIPSC cumple los requerimientos técnicos, organizativos y procedimentales comunes a los distintos servicios y que se han establecido en la política para la prestación de los servicios de confianza. Seguidamente, para cada uno de los servicios se incluyen los siguientes apartados: Declaración básica La declaración básica recoge las condiciones y aspectos fundamentales del servicio, que junto a otras condiciones y aspectos más específicos, se recogen en la Política correspondiente. Política para la prestación del servicio Tiene como objetivo definir los requisitos a cumplir por CIPSC para la prestación de un determinado servicio de confianza, de acuerdo con los estándares que resulten de aplicación. Se definen aspectos como los supuestos de utilización, los destinatarios, las condiciones para la prestación y acceso al servicio y los efectos del mismo. Declaración de prácticas para la prestación del servicio Establece cómo CIPSC cumple los requerimientos técnicos, organizativos y procedimentales establecidos en la Política del servicio y, en particular, las condiciones y las acciones de gestión y operación que se siguen en la prestación del mismo. 1.3.- Alcance Este documento establece las reglas generales para la operación de CIPSC y la prestación de los distintos servicios, las obligaciones de CIPSC en relación con la gestión de los datos de creación y verificación de firma y de los certificados electrónicos, las condiciones aplicables a la solicitud, expedición, uso, suspensión y extinción de la vigencia de los certificados, las medidas de seguridad técnicas y organizativas, los perfiles de los certificados y los mecanismos de información sobre la vigencia de los certificados. 1.4.- Ámbito de aplicación Los servicios de CIPSC se prestan con sujeción a la versión de este documento que se encuentre vigente en el momento en el que se hacen efectivos, siendo ésta la que determinará su validez y efectos. Cuando el servicio consista en la generación y/o emisión de firmas electrónicas, Coloriuris, S.L. julio 2015 9/115

sellos electrónicos, sellos de tiempo electrónicos, certificaciones de remisión y recepción de envíos electrónicos, de documentos auténticos y de diligencias de registro o de cualquier otra evidencia electrónica serán estas Políticas las que establecerán la validez y efecto de los mismos a lo largo de todo su ciclo de vida. 1.5.- Identificación El OID (object identifier) de las Políticas y declaración de prácticas de Coloriuris Prestador de Servicios de Confianza es: 1.3.6.1.4.1.37799.0.3.1.2.0. CIPSC. Este OID se incluye como identificador de las Políticas en todos los certificados emitidos por 1.6.- Administración y publicidad 1.6.1.- Validez Únicamente el Responsable de Administración de Políticas tiene la capacidad para aprobar las Políticas y declaración de prácticas de CIPSC. Esta aprobación deberá constar de forma expresa. Sin perjuicio de lo dispuesto para la modificación de las Políticas y declaración de prácticas y para el caso de cese de la actividad de CIPSC, el presente documento tiene validez indefinida. La invalidez de una o más de las previsiones de estas Políticas y declaración de prácticas no afectará al resto del documento. En este caso se tendrán dichas previsiones por no puestas. 1.6.2.- Modificaciones Solo el Responsable de Administración de Políticas puede realizar y aprobar modificaciones de las Políticas y declaración de prácticas de CIPSC. Se considerará que existe un cambio de versión cuando a juicio del Responsable de Administración de Políticas las modificaciones puedan afectar a la aceptabilidad de los servicios del CIPSC. En caso contrario se considerará que únicamente hay una nueva redacción de la misma versión. En el primer supuesto se procederá al incremento del número mayor de versión del documento y la puesta a cero del número menor de la misma, modificándose también los campos correspondientes del Identificador de Objeto (OID), que son el penúltimo y el último, respectivamente. En el segundo supuesto se procederá al incremento del número menor de versión Coloriuris, S.L. julio 2015 10/115

del documento, modificándose únicamente el último campo del Identificador de Objeto (OID). 1.6.3.- Publicidad Las Políticas y declaración de prácticas de CIPSC se publicarán inmediatamente desde el momento de su aprobación inicial y, en su caso, de su modificación. La dirección web (URL) para la publicación será https://cipsc.coloriuris.net/politicas/. También se publicarán en la web los certificados raíz y sellos de las autoridades prestadoras de servicios de CIPSC. Esta publicación se hará en la dirección: https://cipsc.coloriuris.net/certificados/. La dirección postal de CIPSC se publicará en https://cipsc.coloriuris.net/address/. La publicación de anuncios y comunicaciones sobre hechos relevantes que afecten a la prestación de los servicios de la CIPSC, se hará en la dirección de Internet: https://cipsc.coloriuris.net/anuncios/. Por último, la publicación de las tarifas aplicables a la prestación de los distintos servicios de CIPSC se publicarán en la dirección: https://cipsc.coloriuris.net/tarifas/. Estos contenidos se encontrarán disponibles de forma permanente, salvo causa de fuerza mayor, y el acceso a los mismos será gratuito. 1.6.4.- Datos de contacto Todos los firmantes, creadores de sellos, terceros aceptantes y cualquier entidad o persona que ostente un interés legítimo en relación con los servicios de CIPSC podrán ponerse en contacto con los miembros del mismo de las siguientes formas: Correo electrónico: cipsc@coloriuris.net Teléfono: +34976203670 Fax: +34976203671 Correo postal o personándose en la dirección: C/ Alfonso I nº 23, entlo. ctro., 50003 Zaragoza Coloriuris, S.L. julio 2015 11/115

2 Políticas de los servicios de CIPSC 2.1.- Estructura de CIPSC 2.1.1.- Responsable de Administración de Políticas de Coloriuris El Responsable de Administración de Políticas es un miembro de Coloriuris que aprobará las presentes Políticas y declaración de prácticas, así como sus modificaciones. Todos los documentos de políticas y declaración de prácticas de CIPSC deben ser aprobados por el Responsable de Administración de Políticas. El Responsable de Administración de Políticas es responsable de que la prestación de los servicios del CIPSC se ajuste a lo dispuesto en estas Políticas y declaración de prácticas y de asegurar la efectiva ejecución de los controles previstos. Asimismo se encarga de la dirección, supervisión y control de la prestación de los servicios de CIPSC, de las operatorias seguidas por cada una de sus autoridades prestadoras de servicios y de la correcta aplicación por las mismas de lo establecido en el presente documento. El Responsable de Administración de Políticas se encarga también de analizar los informes de las auditorías, totales o parciales, que se hagan de CIPSC y de sus servicios, así como de establecer y supervisar, en su caso, las acciones correctoras a ejecutar. El Responsable de Administración de Políticas será nombrado y cesado por la dirección de Coloriuris, mediante resolución expresa de la que deberá quedar constancia escrita. 2.1.2.- Autoridades prestadoras de los servicios de confianza de CIPSC 2.1.2.1.- Aspectos comunes CIPSC dispone de tres autoridades prestadoras de servicios, que se sujetan a las políticas y prácticas establecidas en este documento y son las siguientes: Autoridad de certificación (AC): se encarga de la generación, emisión y revocación de firmas electrónicas y sellos electrónicos. Autoridad de sellado de tiempo (TSACI): se encarga de la generación y emisión de sellos de tiempo y de certificados de entrega electrónica certificada. Autoridad para los servicios relativos a los documentos electrónicos (ASD): se encarga de la prestación de los servicios de creación, verificación, validación y autenticación de Coloriuris, S.L. julio 2015 12/115

documentos electrónicos y del registro y archivo de documentos electrónicos. Cada autoridad dispone de un certificado autofirmado y puede disponer también de sellos respaldados por este certificado raíz, que serán emitidos por la propia autoridad prestadora del servicio. Las claves asociadas a estos certificados se conservarán en un dispositivo criptográfico con los niveles de seguridad establecidos en estas Políticas. En todo caso, CIPSC quedará identificado en los certificados electrónicos raíz de cada una de sus autoridades prestadoras de servicios, así como en los certificados emitidos para la prestación de cada uno de los servicios, tanto se trate de sellos electrónicos como de los certificados personales de los administradores y operadores, y en las evidencias que sean resultado de la prestación de uno de sus servicios. Los administradores de cada una de las autoridades son las personas que dentro de Coloriuris tienen privilegios para generar y utilizar el certificado y claves raíz de dicha autoridad, así como los sellos derivados del mismo. En todo momento dichas personas estarán expresamente identificadas en la documentación interna de la CIPSC. 2.1.2.2.- Autoridad de certificación (AC) Los servicios que presta son los siguientes: Creación, verificación y validación de firmas electrónicas y sellos electrónicos: comprende los componentes técnicos y organizativos que emiten los certificados. Gestión del servicio de certificación: comprende los componentes técnicos y organizativos que supervisan y controlan que la operativa de la emisión de certificados se realice de forma adecuada. 2.1.2.3.- Autoridad de sellado de tiempo (TSACI) Los servicios que presta son los siguientes: Creación, verificación y validación de sellos de tiempo: comprende los componentes técnicos y organizativos que emiten los sellos de tiempo. Gestión del servicio de sellado de tiempo: comprende los componentes técnicos y organizativos que supervisan y controlan que la operativa de la emisión de sellos de tiempo se realice de forma adecuada incluyendo, en particular, la sincronización temporal con la fuente fiable de referencia. Creación, verificación y validación de las evidencias asociadas a las certificaciones de remisión y recepción de entrega electrónica certificada y la gestión de emisión de entrega Coloriuris, S.L. julio 2015 13/115

electrónica certificada y acreditación de ésta y de la recepción. 2.1.2.4.- Autoridad para los servicios relativos a los documentos electrónicos (ASD) Los servicios que presta son los siguientes: Generación de las evidencias asociadas a los servicios relativos a los documentos electrónicos: comprende los componentes técnicos y organizativos que emiten los documentos electrónicos autenticados por CIPSC, las diligencias de registro y las demás evidencias resultantes de la prestación de los servicios relativos a los documentos electrónicos. Gestión de los servicios relativos a los documentos electrónicos: comprende los componentes técnicos y organizativos que supervisan y controlan que las operativas de autenticación de documentos electrónicos y la de registro y archivo de documentos electrónicos se realizan de forma adecuada. La ASD opera el Archivo de documentos, que será un sistema adecuado para la preservación de los mismos, que se realizará en nombre y a cargo de CIPSC. Los administradores de la ASD, además de tener los privilegios de administración y configuración previstos en el apartado 2.1.2.1, los tendrán sobre el Archivo de documentos. 2.1.3.- Autoridades de registro Las Autoridades de Registro (AR) reciben y procesan las solicitudes para la prestación de servicios de confianza por CIPSC y cumplen las demás funciones que, en su caso, se determinen en las correspondientes Políticas. En todo caso realizan las siguientes tareas: Recepción de los datos requeridos para la prestación de los servicios y, en su caso, comprobación de la identidad de los solicitantes, firmantes y creadores de sellos de los mismos así como de las demás circunstancias que sean requeridas para la prestación. Recepción y conservación de los documentos en soporte papel generados en el proceso de solicitud y prestación del servicio. CIPSC dispondrá al menos de una AR incluida en su propia estructura. Opcionalmente podrán crearse otras AR, tanto dentro de CIPSC como a través de entidades externas, en cuyo caso será preciso que exista un contrato escrito, en el que la entidad externa deberá comprometerse expresamente a cumplir con lo dispuesto en este documento. Asimismo se establecerá la obligatoriedad de realizar auditorías, así como la periodicidad de las mismas. Las auditorías podrán ser realizadas por Coloriuris o por una entidad externa. Los operarios de las AR dispondrán de certificados emitidos por la Autoridad de certificación Coloriuris, S.L. julio 2015 14/115

de CIPSC con los que firmaran electrónicamente las solicitudes de prestación de servicios que dirijan a las diferentes autoridades, cuando así lo establezca la correspondiente Política. La comunicación telemática entre las AR y las distintas autoridades se realizará a través de canales cifrados. 2.2.- Firmantes y partes usuarias 2.2.1.- Firmantes y creadores de sellos Los firmantes y creadores de sellos son, respectivamente, las personas físicas y jurídicas que crean una firma electrónica o un sello electrónico utilizando los servicios de certificación prestados por CIPSC y que, por lo tanto, aceptan los términos y condiciones bajo los cuales éstos se prestan. Los firmantes y creadores de sellos son responsables del uso que hagan de los servicios de CIPSC y, en la medida de sus posibilidades, han de contribuir a que las partes usuarias puedan valorarlos adecuadamente y conocer las condiciones que rigen su uso, especialmente en lo que se refiere a los efectos y validez de los certificados, sellos de tiempo, documentos autenticados y certificados de entrega. Algunas de las Autoridades de CIPSC utilizan los servicios de las otras Autoridades para prestar sus servicios a los firmantes y creadores de sellos. Asimismo Coloriuris S.L. utiliza los servicios de CIPSC para la prestación de algunos de sus servicios, como actanavegacion, actafirma o actasms, entre otros. En estos casos Coloriuris actúa como creador de sellos electrónicos de los servicios y tiene las obligaciones establecidas para los mismos en este documento. 2.2.2.- Partes usuarias Las partes usuarias son las personas físicas o jurídicas que confían en la identificación electrónica y los servicios de confianza de CIPSC y en las evidencias generadas por CIPSC como resultado de los mismos, especialmente firmas electrónicas, sellos electrónicos, sellos de tiempo electrónicos, documentos autenticados, certificaciones de remisión y recepción de entrega electrónica certificada y diligencias de registro. 2.2.3.- Aceptación de las Políticas y declaración de prácticas Todos los firmantes y creadores de sellos de los servicios de CIPSC, por el mero hecho de utilizarlos, así como las partes usuarias, asumen en su totalidad lo dispuesto en la versión de las Políticas y declaración de prácticas vigentes en el momento en el que se recibió el servicio solicitado o se aceptaron las evidencias resultantes del mismo, respectivamente. Coloriuris, S.L. julio 2015 15/115

El OID de estas Políticas y declaración de prácticas se incluirá en todas las evidencias que se generen y emitan en la prestación de los servicios del CIPSC como acreditación de su conformidad con la misma. Con este mismo fin, CIPSC sólo aceptará las peticiones de servicios que incluyan el OID de estas Políticas y declaración de prácticas o que, como mínimo exigible, no incluyan la mención a otra u otras políticas en forma tal que pudiera deducirse la conformidad con las mismas. 2.2.4.- Verificación de las evidencias Los firmantes, creadores de sellos y partes usuarias deberán actuar con la debida diligencia para comprobar la autenticidad de las evidencias provenientes de los servicios de CIPSC, verificando que han sido firmadas correctamente y que la clave privada utilizada para su firma no estaba comprometida en el momento de la verificación. Durante el periodo de validez de los certificados utilizados por las autoridades prestadoras de los servicios de CIPSC, el estado de las claves privadas podrá verificarse en las direcciones indicadas en el apartado 1.6.3. Una vez que caduquen los certificados utilizados por CIPSC las partes usuarias podrán confiar en las firmas respaldadas por los mismos si en el momento de la verificación se conoce que la clave privada correspondiente no ha sido comprometida en ningún momento y que tanto la función hash utilizada para la generación de la evidencia, así como el algoritmo criptográfico y el tamaño de la clave utilizados para firmarla electrónicamente se consideran todavía seguros. 2.3.- Obligaciones 2.3.1.- Coloriuris Coloriuris asume la responsabilidad de que los servicios prestados por CIPSC se realizan de acuerdo con lo dispuesto en estas Políticas y declaración de prácticas, y del cumplimiento, tanto de los requisitos y controles establecidos en las mismas, como de las disposiciones legales que sean aplicables. En particular, asume las siguientes obligaciones: 1) Prestar los servicios de acuerdo con lo dispuesto en estas Políticas y declaración de prácticas. 2) Garantizar que las evidencias emitidas no contienen ningún dato erróneo o falso. 3) Utilizar tecnologías y equipos adecuados, y contar con personal con formación específica e informado de sus obligaciones. 4) Proporcionar acceso ininterrumpido a sus servicios, excepto en caso de interrupciones programadas o incidencias graves. Coloriuris, S.L. julio 2015 16/115

5) Llevar a cabo las revisiones y auditorías precisas para asegurar el cumplimiento de la legislación aplicable, de las Políticas y declaración de prácticas y de la normativa interna. 6) Publicar en su web información sobre las incidencias que hayan podido afectar a los servicios de forma que sea posible conocer cuáles han sido, en su caso, las evidencias afectadas. 2.3.2.- Obligaciones de los firmantes y creadores de sellos Es obligación de los firmantes y creadores de sellos de los servicios de CIPSC: 1) Utilizar medios adecuados para la solicitud de los servicios y, en su caso, para la obtención de las evidencias resultantes del mismo. 2) Verificar la validez de las evidencias, según lo dispuesto en el apartado 2.2.4. 3) Conocer y aceptar las condiciones y limitaciones de utilización de las evidencias que se hayan establecido en la Política correspondiente. 4) Limitar y adecuar el uso de las evidencias resultantes del servicio a lo permitido por la Política que las regule. 5) No monitorizar la prestación de los servicios del CIPSC, ni manipularlos o alterar su correcto funcionamiento, ni realizar actos de ingeniería inversa sobre su implementación. 2.3.3.- Obligaciones de las partes usuarias Es obligación de las partes usuarias que acepten y confíen en las evidencias emitidas por CIPSC: 1) Verificar la validez de las evidencias, según lo dispuesto en el apartado 2.2.4. 2) No confiar en las evidencias para usos distintos de los permitidos en la Política correspondiente. 3) Tener conocimiento de lo dispuesto en las presentes Políticas, aceptando y sujetándose a lo dispuesto en las mismas y, en particular, a las responsabilidades aplicables en la aceptación y uso de los servicios del CIPSC y de las evidencias resultantes de los mismos. 4) Notificar cualquier hecho o situación anómala relativa a los servicio del CIPSC y/o a las evidencias emitidas, y que pueda ser considerado como causa de revocación de las mismas. 2.4.- Responsabilidad de CIPSC CIPSC sólo responderá en el caso de incumplimiento de las obligaciones contenidas en la Coloriuris, S.L. julio 2015 17/115

legislación aplicable y en las presentes Políticas y declaración de prácticas. CIPSC no asumirá responsabilidad alguna respecto a la utilización de las evidencias emitidas para cualquier uso no autorizado en las presentes Políticas y declaración de prácticas. CIPSC no se responsabiliza del contenido de los documentos y datos a los que se apliquen sus servicios, y no responde de posibles daños y perjuicios en transacciones en las que se hayan utilizado. CIPSC no representa en forma alguna a los firmantes, creadores de sellos ni partes usuarias de las evidencias que emite. CIPSC no da ninguna garantía ni asume responsabilidad alguna, ante titulares de certificados o cualquier otra evidencia emitida ni ante las partes usuarias de las mismas, fuera de lo establecido en las presentes Políticas y declaración de prácticas. CIPSC dispone de un seguro de responsabilidad civil, con una cobertura de tres millones de euros (3.000.000,00 ). 2.5.- Datos personales y confidencialidad 2.5.1.- Protección de datos de carácter personal CIPSC aplica lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y su normativa de desarrollo, garantizando las normas y procedimientos internos de Coloriuris a la aplicación del nivel de seguridad exigido por esta normativa. Cuando para la prestación de un determinado servicio sea necesario recabar datos personales del firmante, se verificará que éste es informado y presta su consentimiento al tratamiento de sus datos personales, a la finalidad de éste, y a su inclusión en el fichero declarado al efecto por Coloriuris. Los datos de carácter personal no serán comunicados a terceros sin el consentimiento expreso del titular, salvo en el supuesto de que una Ley lo autorice expresamente. 2.5.2.- Información confidencial Se considerará confidencial toda información que no sea declarada expresamente por CIPSC como pública. En particular, tiene carácter confidencial la siguiente información: Las claves privadas utilizadas por CIPSC y por sus administradores y operarios. Coloriuris, S.L. julio 2015 18/115

La información sobre las operaciones que lleve a cabo CIPSC. La información sobre seguridad, control y procedimientos de auditoría. La información de carácter personal de los firmantes. Se considerará información pública y por lo tanto accesible por terceros la contenida en las presentes Políticas y declaración de prácticas, y aquella otra que así sea declarada por CIPSC. 2.5.3.- Deber de secreto Todas las personas que tengan relación laboral o profesional con CIPSC están obligadas a guardar secreto de toda la información confidencial a la que tuvieran acceso en virtud de dicha relación. CIPSC les informará por escrito, al menos en el comienzo de la relación, guardando constancia de que dicha información ha sido recibida por el destinatario. Esta obligación persistirá una vez finalidad la vinculación con CIPSC. 2.6.- Auditorías Coloriuris realizará auditorías del funcionamiento del CIPSC y de las autoridades encargadas de prestar los distintos servicios, al menos con periodicidad anual. Las auditorías deberán ser realizadas por un auditor independiente. Asimismo, y como se dispone en el apartado 2.1.3, se realizarán auditorías a las Autoridades de Registro, tanto a las integradas en la estructura de CIPSC como a las externas. Estas auditorías se realizarán como mínimo cada dos años y podrán ser realizadas por CIPSC o por una entidad externa. En todas las auditorías se verificará, como mínimo, que las prácticas de CIPSC y sus autoridades prestadoras de servicios se ajustan a lo establecido en estas Políticas, a lo dispuesto por las autoridades administrativas y a lo establecido en la normativa vigente, así como que disponen de una metodología que garantiza la calidad de los servicios prestados. 2.7.- Tarifas CIPSC publicará en el repositorio mencionado en el apartado 1.6.3 las tarifas que aplica para la prestación de cada uno de sus servicios. CIPSC no aplicará ninguna tarifa por el acceso a la información necesaria para verificar la validez las evidencias emitidas, ni a las presentes Políticas y declaración de prácticas, ni a la información que, en virtud de lo dispuesto en las mismas, deba hacerse pública. Coloriuris, S.L. julio 2015 19/115

2.8.- Reclamaciones y jurisdicción Políticas y declaración de prácticas de Coloriuris Prestador de Servicios de Confianza V. 2.0 2.8.1.- Comunicación de las reclamaciones Cuando un firmante, creador de sellos o parte usuaria tengan una reclamación respecto a los servicios de CIPSC deberá comunicársela por cualquiera de los medios de contacto indicados en el apartado 1.6.4 de este documento. CIPSC contestará a la reclamación en el plazo máximo de una semana. 2.8.2.- Jurisdicción Los firmantes, creadores de sellos y partes usuarias de los servicios de CIPSC aceptan la jurisdicción de los juzgados y tribunales de Zaragoza para cualquier controversia que pudiera suscitarse en relación con la prestación de servicios por parte de CIPSC, con expresa renuncia de cualquier otro fuero que pudiera corresponderles. Coloriuris, S.L. julio 2015 20/115

3 Declaración de prácticas 3.1.- Introducción El funcionamiento de CIPSC se basa en las infraestructuras técnicas, los procedimientos y los mecanismos de control que se describen en esta Declaración de prácticas. Junto con el capítulo anterior, que se refiere a las Políticas, regulan la operación y requisitos que son comunes a los distintos servicios de confianza prestados por CIPSC. Este documento y la demás información que resulte relevante para que los firmantes, creadores de sellos y partes usuarias valoren los servicios de CIPSC, se publican en los repositorios descritos en el apartado 1.6.3. El Responsable de Administración de Políticas es responsable de mantener y aprobar todas las políticas y prácticas que rigen el funcionamiento de CIPSC, así como de la implementación y aplicación de las mismas. Entre otras medidas, CIPSC realiza evaluaciones y auditorías periódicas para determinar el estado de los controles y procedimientos de seguridad, efectuar el análisis de vulnerabilidades y aplicar las medidas que resulten pertinentes. Coloriuris, a través del Responsable de Administración de Políticas, se responsabiliza de adoptar las medidas de seguridad necesarias para cumplir con los estándares y leyes que sean de aplicación, así como con las políticas y prácticas recogidas en el presente documento para la prestación de los servicios. 3.2.- El ciclo de vida de los certificados Todos los certificados emitidos y utilizados por las Autoridades de CIPSC se ajustan al estándar X.509 versión 3 y al RFC 3039 "Internet X.509 Public Key Infrastructure Qualified Certificates Profile". Los identificadores únicos (OID) de los algoritmos con cifrado RSA utilizados son los siguientes: SHA256RSA: 1.2.840.113549.1.1.11 Las especificaciones contenidas en este apartado lo son sin perjuicio de las estipulaciones previstas en cada una de las políticas de certificación correspondientes a cada tipo de certificado. Coloriuris, S.L. julio 2015 21/115

3.2.1.- Solicitud de certificados Políticas y declaración de prácticas de Coloriuris Prestador de Servicios de Confianza V. 2.0 La Autoridad de Registro de CIPSC que reciba la solicitud le compete el determinar que el tipo de certificado solicitado se adecue a las características concretas del solicitante, de conformidad con el contenido de la Política de Certificación aplicable a dicho certificado y, de este modo, resolver la solicitud formulada. En cada Política de Certificación se especifica la información que debe suministrarse con carácter previo, a quien solicite un certificado. Sin perjuicio de lo cual se informa que: a) La identificación de las personas físicas que soliciten un certificado reconocido exigirá su personación ante el operador de registro de la Autoridad de Registro de CIPSC (o de las A.R. externas que puedan crearse en el futuro) y se acreditará mediante el documento nacional de identidad, pasaporte u otros medios admitidos en derecho. Podrá prescindirse de la personación si su firma en la solicitud de expedición de un certificado reconocido ha sido legitimada en presencia notarial. b) En el caso de certificados reconocidos de personas jurídicas (sellos electrónicos conforme a la denominación dada por R.U.E. 910/2014), el operador de registro de la A.R. de CIPSC (o de las A.R. externas que puedan crearse en el futuro) comprobará, además, los datos relativos a la constitución y personalidad jurídica y a la extensión y vigencia de las facultades de representación del solicitante mediante los documentos públicos que sirvan para acreditar los extremos citados de manera fehaciente y su inscripción en el correspondiente registro público. 3.2.2.- Tramitación de la solicitud de certificados. Compete a la Autoridad de Registro de CIPSC la comprobación de la identidad del solicitante, la verificación de la documentación y la constatación de que el solicitante ha firmado el documento de comparecencia. Una vez completa la solicitud, la Autoridad de Registro la remitirá a la AC correspondiente de CIPSC. 3.2.3.- Emisión de certificados CIPSC no es responsable de la monitorización, investigación o confirmación de la exactitud de la información contenida en el certificado con posterioridad a su emisión. En el caso de recibir información sobre la inexactitud o la no aplicabilidad actual de la información contenida en el certificado, este puede ser revocado. La emisión del certificado tendrá lugar una vez que CIPSC haya llevado a cabo las Coloriuris, S.L. julio 2015 22/115

verificaciones necesarias para validar la solicitud de certificación. El mecanismo por el que determina la naturaleza y la forma de realizar dichas comprobaciones es la Política para la prestación de los servicios de certificación. 3.2.4.- Aceptación de certificados La aceptación de los certificados por parte de los firmantes y/o creadores de sellos se produce en el momento de la firma del contrato de certificación asociado a cada Política de Certificación. La aceptación del contrato implica el conocimiento y aceptación por parte del firmante y/o creador de sellos de la Política de Certificación asociada. 3.2.5.- Uso del par de claves y del certificado. asociada. Los usos del par de claves y certificado quedan definidos por cada Política de Certificación 3.2.6. Renovación de certificados. En cada una de las Políticas de Certificación asociadas a cada tipo de certificado se detalla la posibilidad o no de renovar los certificados, así como las condiciones para proceder a su renovación. 3.2.7. Renovación de claves La renovación de claves implica necesariamente la renovación de certificado y no se pueden llevar a cabo como procesos separados. 3.2.8. Modificación de certificados. No se pueden modificar los campos de los certificados. Cualquier modificación necesaria implicará un proceso de renovación del certificado. 3.2.9. Revocación y suspensión de certificados. 3.2.9.1. Circunstancias para la revocación En general un certificado se revoca cuando: El firmante/creador de sellos o sus claves o las claves de sus certificados se han comprometido por: Coloriuris, S.L. julio 2015 23/115

El robo, pérdida, revelación, modificación, u otro compromiso o sospecha de compromiso de la clave privada del usuario. El mal uso deliberado de claves y certificados, o la falta de observación de los requerimientos operacionales del acuerdo de suscripción, o de la presente DPC. Se produce la emisión defectuosa de un certificado debido a: Que no se ha satisfecho un prerrequisito material para la emisión del certificado. Que un factor fundamental en el certificado se sepa o crea razonablemente que puede ser falso. Un error de entrada de datos u otro error de proceso. El par de claves generado por un usuario final se revela como débil. La información contenida en un certificado o utilizada para realizar su solicitud se convierte en inexacta, por ejemplo cuando el dueño de un certificado cambia su nombre. Una solicitud de revocación válida se recibe de un usuario final. Una solicitud de revocación válida se recibe de una tercera parte autorizada, por ejemplo una orden judicial. El certificado de una AR o AC superior en la jerarquía de confianza del certificado es revocado. Si bien las circunstancias para la revocación podrán ser especificadas en cada Política de Certificación correspondiente. 3.2.9.2. Entidad que puede solicitar la revocación La revocación de un certificado se puede instar tanto por el firmante/creador de sellos como por parte de CIPSC, así como por cualquier persona que conozca fehacientemente que los datos asociados al certificado se convierten en inexactos o incorrectos. Los firmantes y creadores de sellos pueden solicitar la revocación de su certificado por cualquier causa y deben solicitarla bajo las condiciones especificadas en el siguiente apartado. 3.2.9.3. Procedimiento de solicitud de revocación El procedimiento para la solicitud de la revocación de cada tipo de certificado se definirá en la Política de Certificación correspondiente. Coloriuris, S.L. julio 2015 24/115